Mitä tarkoittaa tietojen eheys?

Tietojen muuttumattomuus ja säilyminen kaikissa tilanteissa ovat avainasemassa tuotantoyrityksen tietoturvaa kehitettäessä.

Tässä artikkelissa pureudumme tietojen eheyden määritelmään ja siihen, miten tämän periaatteen tulisi näkyä tuotantoyrityksen OT-verkossa.

Eheys tietoturvassa – määritelmä

Tietojen eheys viittaa tiedon tai datan luotettavuuteen ja yhtenäisyyteen. Sen perimmäisenä tavoitteena on varmistaa, että tiedot pysyvät muuttumattomina niiden siirron, tallennuksen ja haun aikana. Tietojen eheyden perusperiaatteena on, että tiedot ovat aina täsmälliset, kattavat ja saumattomat. Tämän varmistamiseksi käytetään useita eri tietoturvatyökaluja ja -protokollia.

Käytännössä eheys voidaan jakaa fyysiseen ja loogiseen eheyteen.

• Fyysisellä eheydellä varmistetaan, että tietojen rakenteellinen eheys säilyy kaikissa olosuhteissa, esimerkiksi laitevika- tai sähkökatkotilanteissa.
• Looginen eheys puolestaan keskittyy tietojen sisältöön, ja sen avulla varmistetaan, että tiedot ovat ristiriidattomia ja että niitä hallitaan kattavasti.

Miten tietojen eheysperiaatetta tulee noudattaa tuotantoyrityksen OT-verkossa?

Tuotantoyrityksen OT-verkossa datan eheyden suojaaminen on erityisen kriittistä, sillä siinä käsitellään aina arkaluonteisia tietoja, kuten tuotantotietoja ja muuta tärkeää dataa.

Tietojen korruptoituminen tai muu vaurioituminen voi johtaa vakaviin seurauksiin, kuten tuotannon keskeytymiseen, asiakastietojen menetykseen tai jopa liiketoiminnan maineen heikentymiseen. Katsotaan seuraavaksi, miten näitä ongelmia voidaan taklata tuotanto- ja tietoliikenneverkoissa.

Tiedon säilytyksen johdonmukaisuus tulee huomioida OT-verkossa monella tasolla

Tietojen siirto- ja tallennusjärjestelmien on ensinnäkin oltava luotettavia. Lisäksi niissä on oltava asianmukaiset suojaukset tietojen vahingoittumisen, katoamisen tai luvattoman muuttamisen estämiseksi.

Toiseksi järjestelmien on pystyttävä tunnistamaan ja korjaamaan mahdolliset tietojen eheyden rikkomukset, kuten virheelliset tai väärennetyt tiedot. Kolmanneksi henkilöstön on oltava koulutettu niin, että tietojen eheyden merkitys ymmärretään ja että osataan noudattaa parhaita käytäntöjä sen varmistamiseksi.

SHA-tiivisteet

Yksi tapa tiedon eheyden varmistamiseen on SHA-tiiviste, joka on lyhenne sanoista Secure Hash Algorithm. Se on hash-algoritmi, jota käytetään tiedostojen ja viestien muuttumattomuuden varmistamiseen. SHA-tiivisteet ovat yksisuuntaisia, mikä tarkoittaa, että tiedostoa tai viestiä ei voida palauttaa alkuperäiseen muotoonsa vain sen hash-tiivisteen perusteella. SHA-tiivisteitä käytetään usein tiedostojen ja viestien todennuksen ja eheyden varmistamiseen.

SHA-tiivisteitä on useita erilaisia, joista yleisimmät ovat sukupolvien SHA1, SHA2 ja SHA3 tiivisteitä. SHA1:tä ei enää pidetä turvallisena, ja sen käyttöä ei suositella. SHA2-256 ja SHA2-512 sekä SHA3 ovat kaikki turvallisia tiivisteitä, joita voidaan käyttää monenlaisissa sovelluksissa. Luku 256 sanassa SHA2-256 tarkoittaa, että tiiviste tuottaa aina luvun mukaisen bittimäärän, riippumatta lähdemateriaalin pituudesta.

SHA-tiivisteet luodaan ottamalla tiedosto tai viesti ja muuntamalla se sarjaksi numeroita. Nämä numerot ovat tiedoston tai viestin hash-tiivisteitä. SHA-tiivistettä voidaan käyttää tiedoston tai viestin todennuksen ja eheyden varmistamiseen vertaamalla tiedoston tai viestin hash-tiivistettä sen todelliseen hash-tiivisteeseen. Jos hash-tiivisteet ovat erilaiset, tiedostoa tai viestiä on muutettu.

Tietoturva-auditointi tietojen eheyden takeena

Tietojen eheyden varmistamiseksi on ensiarvoisen tärkeää, että yrityksen toiminnassa otetaan käyttöön kattava tietoturva-auditointi. Tällä tarkoitetaan prosessia, jossa asiantuntijat tarkastelevat ja arvioivat organisaation tietoturvajärjestelmiä sekä niitä ylläpitäviä prosesseja. Tarkastelun kohteena ovat kaikkien järjestelmien tiedot ja niiden käsittely, jotta voidaan varmistaa tietojen koskemattomuus ja johdonmukaisuus.

Auditoinnin keskeisenä tavoitteena on tunnistaa mahdolliset heikkoudet, jotka saattavat vaarantaa tietojen eheyden tai muuttaa sen tilaa. Tämä voi tarkoittaa esimerkiksi järjestelmävirheitä, puutteellista tietojen käsittelyä tai turvallisuusaukkoja. Tietoturva-asiantuntijat myös analysoivat, miten yritys reagoi mahdollisiin tietoturvaongelmiin. Näin voidaan varmistaa tehokas reagointi mahdollisiin tuleviin uhkiin.

Auditoinnin tulosten perusteella yrityksessä voidaan paitsi tunnistaa ja korjata mahdolliset heikkoudet, myös kehittää tietoturvapolitiikkaa ja prosesseja. Tämä tarkoittaa esimerkiksi uusien tietoturvaratkaisujen käyttöönottoa, henkilöstön koulutuksen parantamista tai tietoturvan hallintaa koskevien prosessien tehostamista.

On kuitenkin tärkeää ymmärtää, että tietoturva-auditointi on vain osa laajempaa tietoturvan hallintaprosessia. Auditoinnin lisäksi yrityksen tulee myös jatkuvasti seurata ja arvioida tietojärjestelmiensä turvallisuutta, jotta tietojen eheys säilyy kaikissa olosuhteissa.

Yhteenveto

Tietojen eheys on keskeinen osa yrityksen tietoturvaa. Sen varmistaminen edellyttää sekä teknisiä ratkaisuja että henkilöstön kouluttamista. Tietojen säilyminen koskemattomina tuotantoyrityksen OT-verkossa on erityisen tärkeää, koska siellä käsitellään usein liiketoiminnan kannalta kriittisiä tietoja. Panostaminen tietoturvaan on siis investointi, joka tukee yrityksen liiketoiminnan jatkuvuutta ja auttaa välttämään vakavat tietoturvaongelmat.

Usein kysyttyä

Mitkä ovat tietoturvan osa-alueet

Tietoturvan osa-alueet yleisellä tasolla ovat saatavuus, luottamuksellisuus ja eheys. Täydentäviä osa-alueita ovat kiistämättömyys, tunnistus ja todennus. Yleisellä tietoturvalla tarkoitetaan tiedon suojaamista häviämiseltä, varastamiselta, korruptoitumiselta tai muulta ei-tarkoituksenmukaiselta muuttumiselta.

Tietoturvaa voidaan lähestyä eri näkökulmista tai eri osa-alueiden kautta. Niistä kukin käsittää oman osuutensa tietoturvan yleisestä kokonaisuudesta:

1. Hallinnollinen tietoturva – Tämä kattaa tietoturvan strategisen ja operatiivisen johtamisen, kuten tietoturvakontrollit, menettelyt ja ohjeistukset.
2. Fyysinen turvallisuus – Tällä viitataan fyysisiin turvatoimenpiteisiin, jotka suojaavat tietotekniikkalaitteita ja toimipaikkoja, esimerkiksi lukitut ovet, valvontakamerat ja palosuojaus.
3. Laiteturvallisuus – Tähän kuuluu tietokoneiden, palvelinten, verkkolaitteiden ja muiden laitteiden tietoturvallisuuden ylläpitäminen.
4. Sovellusturvallisuus – Tämä tarkoittaa tietoturvallisuuden varmistamista ohjelmistoissa, mukaan lukien tietoturvan huomioiva sovellusten kehitystyö ja päivitysten hallinta.
5. Dokumenttien turvallisuus – Tämä käsittää sähköisten ja paperisten tietoaineistojen turvallisen hallinnoinnin, varastoinnin ja käsittelyn.
6. Verkkoturvallisuus – Tähän kuuluu tiedonsiirron turvaaminen, esimerkiksi verkkoliikenteen salaus ja palomuuripalvelu (esimerkiksi Save LANin ylläpitämä).
7. Henkilöstön tietoturva – Tämä osa-alue kattaa roolien, vastuiden ja tietoturvaohjeistuksen noudattamisen henkilöstön keskuudessa.
8. Käyttäjäturvallisuus – Tämä tietoturva-alue liittyy käyttäjien tunnistautumiseen ja salasanapolitiikoihin, ja se on usein yhdistetty osaksi ohjelmistoturvallisuutta.

Mitä tarkoittaa kiistämättömyys?

Tietoturvan kiistämättömyydellä viitataan siihen, että digitaalisessa ympäristössä suoritetun toiminnon tai lähetetyn viestin alkuperää ei voida jälkikäteen kiistää. Kiistämättömyys perustuu vahvaan käyttäjien todennukseen, salaukseen ja digitaalisiin allekirjoituksiin, ja se on keskeinen osa tietoturvan oikeudellista suojaa ja vastuullista käyttöä.

Mitä tarkoitetaan tiedon luottamuksellisuudella, eheydellä, käytettävyydellä ja todentamisella tietoturvan yhteydessä?

Tietoturvan yhteydessä tiedon luottamuksellisuus tarkoittaa, että tietoa pääsevät käyttämään vain ne henkilöt, joilla on siihen oikeus. Eheydellä puolestaan tarkoitetaan, että tiedot pysyvät muuttumattomina ja niiden alkuperäisyys voidaan varmistaa. Tietoturvan käytettävyys viittaa siihen, että tietoja voidaan käyttää tarvittaessa, ja ne ovat saatavilla silloin, kun niitä tarvitaan. Todentaminen tarkoittaa käyttäjän tai laitteen identiteetin varmistamista, esimerkiksi salasanalla tai biometrisellä tiedolla, ennen kuin pääsy tietoihin sallitaan.